情報漏えいに気づくには？確認したいログと通知の仕組み

SHORT ANSWER

結論

不正アクセスへの気づきには、ログイン、権限変更、ファイル操作、外部通信などを組み合わせて確認する仕組みが必要です。ログの保存に加え、通知条件・通知先・確認担当・初動を決めます。一つの異常だけで漏えいと断定せず、通常業務や保守作業と照合して判断することを勧めます。

GSSでは、大量のファイルアクセスが調査のきっかけに

デジタル庁の発表では、2026年6月25日に保守運用担当者のアカウントによる大量のファイルアクセスを検知し、調査を開始したとされています。ここから自社への問いとして考えたいのは、同じような変化が起きたとき、自社では誰が気づけるかです。[1]

本記事は一般的な監視の設計例です。GSSで利用されていた監視製品や検知条件を説明するものではありません。

見る場所は「ログイン」「操作」「通信」

失敗したログインだけを見ていると、正しい認証情報や認証済みセッションを使った操作を見落とすことがあります。ログインに成功した後の行動も確認対象にします。

通常業務と比べるための、主な確認材料
見る場所	気になる変化の例	確認する記録
ログイン	普段と異なる端末・接続元からの成功、使っていないアカウントの利用	認証サービスやVPNのログ
権限・設定	予定のない管理者権限の付与、認証方法や共有範囲の変更	管理操作・監査ログ
ファイル	普段扱わない保存先からの大量取得、短時間で広い範囲へアクセス	ファイルサーバーやクラウドの操作記録
外部通信	外部への送信量の増加、通常使わない保存先への通信	ファイアウォール・プロキシ等の通信ログ

外向き通信量の異常は、CISA等のガイドでも持ち出しの兆候として挙げられています。ただし、バックアップや同期でも増加します。少量ずつの持ち出しは量だけでは分からないため、接続先や操作対象も確認します。[4]

一つの記録で決めず、時系列で照合する

説明用の仮の例：予定のない夜間の操作

23時10分、保守用アカウントが普段と異なる端末からログイン。続いて、通常の保守対象外のフォルダへアクセス。その後、同じ端末から外部への送信が増加しました。

確認するのは、作業申請があったか、本人が操作したか、そのアカウントに対象データを読む必要があったかです。複数の記録をアカウント・端末・時刻で結び付けると、調査の優先順位を付けやすくなります。

この例だけで漏えいが確定するわけではありません。ファイルの取得記録だけでは、最終的な保存先まで分からない場合があります。逆に、記録がないから流出していないとも断定できません。取得できる記録と、その限界を理解しておきます。

ログを取るところから、担当者が動けるところまで

情報漏えいへの気づきを対応につなげる3つの準備。必要なログを残し、普段と異なる操作を担当者へ通知し、本人と作業予定を照合します。大量取得だけで漏えいとは断定せず、通常業務と比べて確認します。 — 一般的な監視の設計例であり、GSSで利用されていた監視製品や検知条件を示すものではありません。

記録する対象を決め、気になる変化があれば担当者へ通知し、本人や作業予定と照合します。ログの保存から確認・初動までをつなげることで、必要な対応を判断しやすくします。

最初に全ログを集めるより、重要な情報と管理者・保守用アカウントから対象を決めることを勧めます。通常の利用時間、件数、同期・バックアップの予定を確認し、通知が多すぎる場合は理由を調べて条件を調整します。説明のつかない通知を、まとめて無効化しない運用が必要です。

ログは機器が壊れたり侵害されたりしても確認できるよう、必要に応じて別の保存先へ集約します。保存期間、機器間の時刻のずれ、記録の欠落、保存先を変更できる権限も点検します。保持期間は製品・契約・設定で異なるため、管理画面で実際に何日前まで遡れるかを確認してください。

Microsoft 365を使っている会社の確認例

Microsoft Entraのサインインログは認証の試行、監査ログはディレクトリの変更などを確認する材料です。例えば、普段と異なるログインと、管理者権限の追加を照合できます。これらの記録は、分析・監視のために別の保存先へ送る構成もあります。[2]

SharePointやOneDriveのファイル操作は、Microsoft Purviewの監査で確認する領域です。Microsoftは、ファイルのダウンロードを示すFileDownloadedなどの操作を案内しています。利用できる記録、保持期間、確認権限を調べ、許可されたテスト用ファイルで記録が残るかを確かめます。[3]

ログの閲覧と、自動通知は別の確認項目

監査画面で検索できても、大量のダウンロードを自動で通知する設定まで完了しているとは限りません。契約・製品・設定によって利用可能な機能が異なります。今ある契約で何ができ、追加の仕組みがどこに必要かを整理します。

社内ファイルサーバーの場合も、すべての読み取りが最初から記録されるとは限りません。対象フォルダと監査設定、保存容量への影響を確認します。保守会社へ任せているなら、監視対象、通知先、対応時間帯、初動の範囲を契約と実際の設定で照合します。

疑わしい操作に気づいたときの初動

決めた連絡先へ報告し、発見時刻、対象アカウント、端末、アラートやログを残します。被害拡大のおそれがある場合は、責任者と保守担当者が連携して、対象端末のネットワーク隔離やアカウントの停止などを判断します。[5]

原因が分からないまま初期化やログ削除をすると、調査の手掛かりを失います。隔離と電源断は別の操作です。業務への影響と証拠の保全を考慮し、あらかじめ決めた手順や専門家の指示に沿って進めます。

自社で確認する5つの質問

重要なファイルを誰が操作したか、過去の記録を確認できますか。
ログが残る期間と、記録されない操作を把握していますか。
大量取得や不審な操作の通知が、担当者へ届くことを確認しましたか。
担当者不在時と夜間・休日の対応方法が決まっていますか。
通知から確認・初動まで、テスト用の事象で練習したことがありますか。

AZWorkなら、通知が届いて動けるかまで確認します

まず重要な保存先とアカウントを決め、現在のログと通知設定を確認します。その後、許可されたテスト用の操作で、記録・通知・担当者の確認がつながるかを検証します。確認できなかった箇所を明確にし、社内と保守会社の役割を整理する方針です。

よくある質問

大量のダウンロードを検知したら、情報漏えいですか。

それだけでは断定できません。同期、移行、バックアップなど正規の作業もあります。本人、作業予定、対象ファイル、接続元や外部通信を照合して判断します。

ログを保存していれば、自動的に通知されますか。

通常、ログの収集・保存とアラートの条件・通知先は別に確認する必要があります。利用できる自動検知機能も、製品や契約によって異なります。

セキュリティ製品から通知がなければ安全ですか。

通知がないことだけで安全とは判断できません。監視対象外の経路、設定漏れ、記録の欠落なども考えられます。対象範囲と通知の動作を定期的に確認します。

一次情報・参考資料

確認日：2026年9月13日。事案の公表内容と一般的な技術解説・AZWorkの提案を区別しています。調査や製品仕様の更新により内容が変わる場合があります。